Cyber Resilience Act für Maschinen: Pflichten, Fristen und Meldewege
Die Cyberresilienz-Verordnung (EU) 2024/2847, kurz CRA, ist kein Thema für später. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, und zwar auch für Maschinen, die längst beim Kunden stehen. Ab dem 11. Dezember 2027 folgen die Anforderungen an Konstruktion, Schwachstellenbehandlung und Dokumentation. Dieser Ratgeber zeigt, wann eine Maschine unter den CRA fällt, was heute gilt, wie die Einstufung funktioniert und was bis 2027 vorzubereiten ist.
Die Stichtage des CRA
Veröffentlichung im Amtsblatt
Verordnung (EU) 2024/2847 vom 23.10.2024, ABl. L, 2024/2847. Berichtigt durch ABl. L, 2025/90555 vom 2.7.2025 (Art. 13 Abs. 8, Art. 64 Abs. 10) und ABl. L, 2025/90828 vom 17.10.2025 (Art. 67).
Inkrafttreten
Zwanzig Tage nach der Veröffentlichung (Art. 71 Abs. 1). Pflichten für Hersteller entstehen erst mit den folgenden Stichtagen.
Notifizierte Stellen
Kapitel IV (Art. 35 bis 51) gilt: Konformitätsbewertungsstellen können für den CRA notifiziert werden (Art. 71 Abs. 2 UAbs. 2).
Meldepflichten nach Art. 14
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind zu melden, auch für Produkte, die schon vorher in Verkehr gebracht wurden (Art. 71 Abs. 2 UAbs. 2, Art. 69 Abs. 3). Die Meldeplattform der ENISA ist seit diesem Tag in einer ersten Ausbaustufe in Betrieb.
Die Verordnung gilt vollständig
Für Produkte, die ab diesem Tag in Verkehr gebracht werden, gelten alle Pflichten: Anforderungen nach Anhang I, Risikobewertung, Konformitätsbewertung, Erklärung und CE-Kennzeichnung (Art. 71 Abs. 2 UAbs. 1 CRA). Vorher in Verkehr gebrachte Produkte trifft das nur bei einer wesentlichen Änderung nach diesem Tag (Art. 69 Abs. 2).
Ende der Übergangsgültigkeit von Bescheinigungen
EU-Baumusterprüfbescheinigungen und Zulassungen zu Cybersicherheitsanforderungen, die nach anderen Harmonisierungsrechtsvorschriften erteilt wurden, bleiben bis zu diesem Tag gültig, sofern sie nicht vorher ablaufen oder jene Rechtsvorschriften nichts anderes festlegen (Art. 69 Abs. 1).
Maßgeblich für die Frage, welche Pflichten eine Maschine treffen, ist also das Datum, an dem sie in Verkehr gebracht wird. Die Leitlinie der Kommission C(2026) 5252 (Inhalt am 27.07.2026 gebilligt, formelle Annahme mit Stand 15. September 2026 nicht auffindbar) beruhigt für laufende Baureihen: Produkte, die vor dem 11.12.2027 konstruiert und danach in Verkehr gebracht werden, müssen nicht neu konstruiert werden, wenn die Risikobewertung angemessene Maßnahmen belegt. Konformitätsbewertung, Erklärung und CE-Kennzeichnung bleiben trotzdem Pflicht.
Fällt Ihre Maschine unter den CRA?
Der Anwendungsbereich ist bewusst weit. Art. 2 Abs. 1 erfasst „auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“. Ein Produkt mit digitalen Elementen ist nach Art. 3 Nr. 1 jedes Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen. Dazu zählt nach Art. 3 Nr. 2 auch eine vom Hersteller oder unter seiner Verantwortung entwickelte Cloud-Anwendung, ohne die eine Funktion der Maschine nicht möglich wäre.
Typische Auslöser an Maschinen
- Ethernet- oder Feldbusschnittstelle zur Leitebene oder zu anderen Maschinen
- Fernwartungszugang über Router, VPN oder Portal
- USB-Schnittstelle zum Laden von Programmen oder Rezepten
- WLAN, Bluetooth oder Mobilfunk, auch in Handbediengeräten
- Anbindung an eine Cloud-Anwendung des Herstellers
Ausnahmen nach Art. 2 Abs. 2 bis 7
- Medizinprodukte und In-vitro-Diagnostika (VO (EU) 2017/745 und 2017/746)
- Fahrzeuge nach VO (EU) 2019/2144 und nach VO (EU) 2018/1139 zertifizierte Luftfahrtprodukte
- Schiffsausrüstung nach RL 2014/90/EU
- per delegiertem Rechtsakt ausgenommene Produkte, bisher solche nach VO (EU) Nr. 168/2013 (Abs. 5, DelVO (EU) 2025/1535)
- identische Ersatzteile (Abs. 6)
- Produkte ausschließlich für nationale Sicherheit oder Verteidigung (Abs. 7)
Maschinen stehen nicht in dieser Liste. Erwägungsgrund 53 geht sogar ausdrücklich davon aus, dass Hersteller von Maschinen im Sinne der Verordnung (EU) 2023/1230 sowohl die Cybersicherheitsanforderungen des CRA als auch die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen der Maschinenverordnung erfüllen sollten. Nach der Leitlinie der Kommission (Entwurfsfassung) reicht es nicht, wenn ein Gerät nur ein- und ausgeschaltet wird: Eine Datenverbindung setzt kodierte digitale Information voraus. Eine rein mechanische Maschine ohne Steuerung und ohne Schnittstelle fällt also nicht unter den CRA.
Auch die Software gehört dazu: Anwendungen, die zum Betrieb, zur Konfiguration oder zur Steuerung der Maschine nötig sind, zählen nach der Leitlinie zum Produkt, selbst wenn der Kunde sie getrennt herunterlädt.
Meldepflichten nach Art. 14: seit dem 11. September 2026 Pflicht
Zwei Ereignisse lösen die Meldepflicht aus. Eine aktiv ausgenutzte Schwachstelle liegt vor, wenn verlässliche Nachweise zeigen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42). Ein schwerwiegender Sicherheitsvorfall wirkt sich negativ auf die Fähigkeit des Produkts aus oder kann sich negativ darauf auswirken, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder er hat zur Einführung oder Ausführung von Schadcode im Produkt oder im Netz des Nutzers geführt oder kann dazu führen (Art. 14 Abs. 5).
| Schritt | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| Frühwarnung | unverzüglich, spätestens 24 Stunden nach Kenntnis, mit den Mitgliedstaaten, in denen das Produkt nach Kenntnis des Herstellers bereitgestellt wurde (Abs. 2 lit. a) | unverzüglich, spätestens 24 Stunden nach Kenntnis, mit Angabe, ob rechtswidrige oder böswillige Handlungen vermutet werden, gegebenenfalls mit den Mitgliedstaaten der Bereitstellung (Abs. 4 lit. a) |
| Meldung | unverzüglich, spätestens 72 Stunden nach Kenntnis, soweit noch nicht übermittelt: Produkt, Art der Ausnutzung und der Schwachstelle, ergriffene Maßnahmen und Maßnahmen für Nutzer (Abs. 2 lit. b) | unverzüglich, spätestens 72 Stunden nach Kenntnis, soweit noch nicht übermittelt: Art des Vorfalls, erste Bewertung, ergriffene Maßnahmen und Maßnahmen für Nutzer (Abs. 4 lit. b) |
| Zwischenbericht | auf Verlangen des CSIRT (Abs. 6) | auf Verlangen des CSIRT (Abs. 6) |
| Abschlussbericht | soweit noch nicht übermittelt, spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Abs. 2 lit. c) | soweit noch nicht übermittelt, innerhalb eines Monats nach der 72-Stunden-Meldung (Abs. 4 lit. c) |
Gemeldet wird über die einheitliche Meldeplattform nach Art. 16, und zwar über den Zugang des koordinierenden CSIRT in dem Mitgliedstaat, in dem der Hersteller seine Hauptniederlassung hat. Das ist der Staat, in dem die Entscheidungen zur Cybersicherheit der Produkte überwiegend fallen, hilfsweise der Staat der Niederlassung mit der höchsten Beschäftigtenzahl in der Union. Hersteller ohne Hauptniederlassung in der Union, etwa aus der Schweiz, melden nach einer festen Rangfolge an das koordinierende CSIRT im Mitgliedstaat ihres Bevollmächtigten, sonst ihres Einführers, sonst ihres Händlers, jeweils dessen, der die meisten ihrer Produkte betreut, und zuletzt im Mitgliedstaat mit den meisten Nutzern (Art. 14 Abs. 7). Die Meldung ist zugleich für die ENISA zugänglich. In Deutschland ist nach Angabe des BSI das CERT-Bund im BSI das koordinierende CSIRT. Außerdem sind die betroffenen Nutzer zu informieren, gegebenenfalls mit Hinweisen, was sie selbst tun können (Art. 14 Abs. 8).
Die Uhr läuft ab Kenntnis. Nach der Leitlinie der Kommission (Entwurfsfassung) liegt Kenntnis vor, wenn der Hersteller nach einer unverzüglichen ersten Bewertung hinreichend sicher ist, dass eine Ausnutzung oder ein schwerwiegender Vorfall vorliegt. Eine Schwachstelle in einer zugekauften Komponente ist nur dann zu melden, wenn sie im eigenen Produkt ausgenutzt wurde. Wer die 24 Stunden halten will, braucht vorher einen geklärten Ablauf: wer bewertet, wer meldet, und welche Länder bei welcher Baureihe betroffen sind.
Erleichterung für kleine Hersteller: Die Geldbußen nach Art. 64 CRA gelten nicht für Kleinst- und Kleinunternehmen, wenn allein die 24-Stunden-Frist für die Frühwarnung versäumt wird (Art. 64 Abs. 10 lit. a in der Fassung der Berichtigung ABl. L, 2025/90555). Die übrigen Fristen und die Meldepflicht selbst bleiben bestehen. Allerdings gilt Art. 64 erst ab dem 11.12.2027 (Art. 71 Abs. 2 UAbs. 1 CRA); vorgezogen sind nur Art. 14 und Kapitel IV. Ob und in welcher Höhe Verstöße gegen die Meldepflicht vorher geahndet werden können, hängt vom nationalen Recht ab; die Verkündung des deutschen Durchführungsgesetzes war mit Stand 15. September 2026 nicht auffindbar.
Einstufung: Standardprodukt, wichtig oder kritisch?
Welches Konformitätsbewertungsverfahren gilt, hängt an der Einstufung. Sie richtet sich nach der Kernfunktion des Produkts (Art. 7 Abs. 1, Art. 8 Abs. 1 CRA). Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392; nach der Leitlinie der Kommission (Entwurfsfassung) hat ein Produkt für die Einstufung genau eine Kernfunktion, die in der technischen Dokumentation zu benennen ist.
| Einstufung | Was darunter fällt | Konformitätsbewertung |
|---|---|---|
| Standardprodukt | Alle Produkte, deren Kernfunktion keiner Kategorie in Anhang III oder IV entspricht. Hierzu gehört typischerweise die Maschine selbst. | Interne Kontrolle (Modul A) oder freiwillig EU-Baumusterprüfung mit Konformität mit dem Baumuster (Module B und C), umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, ein europäisches Zertifizierungsschema (Art. 32 Abs. 1). |
| Wichtig, Klasse I (Anhang III) | 19 Kategorien, darunter Router, Modems für die Internetanbindung und Switches (Nr. 12), physische und virtuelle Netzschnittstellen (Nr. 10), Betriebssysteme (Nr. 11), Netzmanagementsysteme (Nr. 6) und VPN-Produkte (Nr. 5). | Modul A nur, wenn harmonisierte Normen, gemeinsame Spezifikationen oder europäische Zertifizierungsschemata mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig angewandt werden; sonst Module B und C oder Modul H (Art. 32 Abs. 2). |
| Wichtig, Klasse II (Anhang III) | Hypervisoren und Container-Runtime-Systeme, Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systeme, manipulationssichere Mikroprozessoren und Mikrocontroller. | Module B und C, Modul H oder, sofern verfügbar und anwendbar, ein europäisches Zertifizierungsschema mindestens der Stufe „mittel“; Modul A ist ausgeschlossen (Art. 32 Abs. 3). |
| Kritisch (Anhang IV) | Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways und andere Geräte für fortgeschrittene Sicherheitszwecke, Chipkarten und Sicherheitselemente. | Europäisches Zertifizierungsschema, sobald ein delegierter Rechtsakt nach Art. 8 Abs. 1 es vorschreibt; solange das nicht der Fall ist, die Verfahren der Klasse II (Art. 32 Abs. 4). |
Die Einbau-Regel
„Die Integration eines Produkts mit digitalen Elementen, das die Kernfunktionen einer in Anhang III aufgeführten Produktkategorie aufweist, führt für sich genommen nicht dazu, dass das Produkt, in das es integriert ist, den Konformitätsbewertungsverfahren gemäß Artikel 32 Absätze 2 und 3 unterliegt.“ (Art. 7 Abs. 1 Satz 2 CRA). Der eingebaute Switch, das Bediengerät mit Betriebssystem oder die Feldbuskarte machen die Maschine also nicht zum wichtigen Produkt. Die Maschine bleibt in aller Regel ein Standardprodukt.
Genau hinschauen sollten Hersteller, die Komponenten auch einzeln verkaufen. Die Durchführungsverordnung (EU) 2025/2392 nennt bei den Netzschnittstellen der Klasse I ausdrücklich Feldbus-Controller und Adapter und bei den Betriebssystemen Echtzeit-Betriebssysteme. Ein eigener Fernwartungs-Router, eine getrennt vertriebene Feldbus-Schnittstellenkarte oder eine Firewall für den Schaltschrank ist deshalb selbst einzustufen.
Normenlage und Konformitätsbewertung
Für wichtige Produkte der Klasse I steht die interne Kontrolle nur offen, wenn harmonisierte Normen, gemeinsame Spezifikationen oder europäische Zertifizierungsschemata vollständig angewandt werden (Art. 32 Abs. 2). Und genau dort liegt der Engpass: Mit Stand 11.09.2026 ist nach Normen-Trackern und Fachberichten keine harmonisierte Norm zum CRA im Amtsblatt zitiert. Der Normungsauftrag M/606 der Kommission vom 3.2.2025 umfasst 41 Normen; in Arbeit sind die horizontale Reihe EN 40000 und für Produkte der Betriebstechnik die Reihe prEN 50770 auf Basis der IEC 62443. Eine Verschiebung der Normungsfristen liegt nur als Entwurf vor.
Für die Maschine selbst: Als Standardprodukt ist Modul A auch ohne harmonisierte Norm möglich. Dann sind die gewählten Lösungen für die Anforderungen aus Anhang I Teil I und II in der technischen Dokumentation zu beschreiben, zusammen mit den angewandten technischen Spezifikationen (Anhang VII Nr. 5). IEC 62443-4-1 und -4-2 bleiben dafür die naheliegende fachliche Grundlage, auch wenn eine Listung unter dem CRA nach einer Fachanalyse vom 06.07.2026 als unwahrscheinlich gilt.
Eine Erklärung für alles: Fällt die Maschine unter die Maschinenverordnung und den CRA, wird eine einzige EU-Konformitätserklärung ausgestellt, in der beide Rechtsakte samt Fundstellen im Amtsblatt stehen (Art. 28 Abs. 3 CRA). Den Inhalt der Erklärung zum CRA regelt Anhang V.
Die Hauptpflichten ab dem 11. Dezember 2027
1. Bewertung der Cybersicherheitsrisiken (Art. 13 Abs. 2 bis 4)
Die Bewertung geht von Zweckbestimmung und vorhersehbarer Verwendung aus, betrachtet Betriebsumgebung, zu schützende Anlagen und die voraussichtliche Nutzungsdauer und fließt in Planung, Konstruktion, Herstellung, Lieferung und Wartung ein. Für jede Anforderung aus Anhang I Teil I Nr. 2 ist anzugeben, ob und wie sie anwendbar ist und wie sie umgesetzt wird; eine nicht anwendbare Anforderung braucht eine klare Begründung in der technischen Dokumentation. Sie wird während des Unterstützungszeitraums dokumentiert und gegebenenfalls aktualisiert (Art. 13 Abs. 3).
2. Anforderungen an das Produkt (Anhang I Teil I)
Auf Grundlage der Risikobewertung müssen Produkte nach Nr. 2, soweit zutreffend:
- aohne bekannte ausnutzbare Schwachstellen auf den Markt kommen
- beine sichere Standardkonfiguration haben und sich in den Ursprungszustand zurücksetzen lassen
- cSchwachstellen über Sicherheitsaktualisierungen beheben lassen
- dvor unbefugtem Zugriff schützen, etwa durch Authentifizierung und Zugangsverwaltung, und mögliche unbefugte Zugriffe melden
- edie Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten schützen
- fDaten, Befehle, Programme und Konfigurationen vor nicht genehmigter Manipulation schützen und Beschädigungen melden
- gnur die Daten verarbeiten, die für den Zweck nötig sind
- hwesentliche Funktionen verfügbar halten, auch nach einem Vorfall und bei Überlastungsangriffen
- idie Verfügbarkeit anderer Geräte und Netze möglichst wenig beeinträchtigen
- jmöglichst kleine Angriffsflächen bieten, auch an externen Schnittstellen
- kdie Folgen eines Sicherheitsvorfalls durch geeignete Mechanismen begrenzen
- lsicherheitsrelevante Vorgänge aufzeichnen oder überwachen, mit Opt-out für die Nutzer
- mDaten und Einstellungen dauerhaft und sicher löschen und sicher übertragen lassen
Eigene Kurzfassung der Buchstaben a bis m, der amtliche Wortlaut steht in der Verordnung. Automatische Sicherheitsaktualisierungen verlangt lit. c nur „gegebenenfalls“; nach Erwägungsgrund 56 sollten die Vorgaben dazu nicht für Produkte gelten, bei denen Nutzer normalerweise keine automatischen Updates erwarten würden, etwa in industriellen Umgebungen, in denen ein automatisches Update den Betrieb stören könnte.
3. Schwachstellenbehandlung (Anhang I Teil II)
Teil II gilt ohne den Vorbehalt „soweit zutreffend“. Verlangt werden eine Software-Stückliste (SBOM) in einem gängigen maschinenlesbaren Format mit mindestens den obersten Abhängigkeiten, die unverzügliche Behebung von Schwachstellen mit Sicherheitsaktualisierungen, möglichst getrennt von Funktionsupdates, regelmäßige Sicherheitstests, die Veröffentlichung behobener Schwachstellen, eine Strategie zur koordinierten Offenlegung, eine Kontaktadresse für Schwachstellenhinweise, eine sichere Verteilung der Updates und kostenlose Sicherheitsaktualisierungen. Die SBOM muss nicht veröffentlicht werden (Erwägungsgrund 77), die Marktüberwachung kann sie auf begründetes Verlangen anfordern (Anhang VII Nr. 8).
4. Komponenten Dritter (Art. 13 Abs. 5 und 6)
Beim Einbau zugekaufter Komponenten, auch quelloffener Software, ist die gebotene Sorgfalt anzuwenden, damit sie die Cybersicherheit der Maschine nicht beeinträchtigen. Findet der Hersteller eine Schwachstelle in einer Komponente, meldet er sie der Person oder Einrichtung, die die Komponente herstellt oder wartet, und teilt eigene Korrekturen mit. Für Steuerungen, Bediengeräte, Router und Antriebe heißt das: Sicherheitsinformationen und Unterstützungszeiträume der Lieferanten einholen und dokumentieren.
5. Unterstützungszeitraum (Art. 13 Abs. 8, 9 und 19)
Der Unterstützungszeitraum soll die voraussichtliche Nutzungsdauer widerspiegeln und beträgt mindestens fünf Jahre, es sei denn, das Produkt ist voraussichtlich kürzer in Betrieb. Die Leitlinie der Kommission (Entwurfsfassung) stellt klar, dass fünf Jahre kein Standardwert sind; Erwägungsgrund 60 nennt industrielle Steuerungssysteme als Beispiel für deutlich längere Nutzung. Das Enddatum ist beim Kauf mindestens mit Monat und Jahr anzugeben, jede Sicherheitsaktualisierung bleibt mindestens zehn Jahre oder für die restliche Dauer des Unterstützungszeitraums verfügbar, je nachdem, was länger ist. Die Überlegungen zur Festlegung gehören in die technische Dokumentation.
6. Informationen für Nutzer (Anhang II)
Der Maschine liegen mindestens bei: Hersteller mit Kontaktdaten, die zentrale Kontaktstelle für Schwachstellen samt Offenlegungskonzept, die eindeutige Produktidentifikation, Zweckbestimmung mit Sicherheitsumfeld, Hauptfunktionen und Sicherheitseigenschaften, bekannte oder vorhersehbare Umstände mit erheblichen Cybersicherheitsrisiken, gegebenenfalls die Internetadresse der Konformitätserklärung, Art der Sicherheitsunterstützung und Enddatum des Unterstützungszeitraums, Anleitungen zur sicheren Inbetriebnahme und Verwendung, zu den Auswirkungen von Änderungen auf die Datensicherheit, zur Installation von Sicherheitsaktualisierungen, zur sicheren Außerbetriebnahme, zum Abschalten automatischer Sicherheitsaktualisierungen und für Integratoren sowie, falls der Hersteller eine Software-Stückliste bereitstellt, wo sie abrufbar ist. Diese Angaben passen gut in ein eigenes Kapitel der Betriebsanleitung und müssen mindestens zehn Jahre oder für die Dauer des Unterstützungszeitraums verfügbar bleiben, je nachdem, was länger ist (Art. 13 Abs. 18).
7. Technische Dokumentation, Erklärung und CE (Art. 13 Abs. 12 und 13)
Vor dem Inverkehrbringen stehen die technische Dokumentation nach Anhang VII, das Konformitätsbewertungsverfahren nach Art. 32 CRA, die EU-Konformitätserklärung und die CE-Kennzeichnung. Dokumentation und Erklärung sind mindestens zehn Jahre oder für die Dauer des Unterstützungszeitraums aufzubewahren, je nachdem, welcher Zeitraum länger ist. Dazu kommt eine zentrale Anlaufstelle, über die Nutzer den Hersteller direkt erreichen (Art. 13 Abs. 17).
Verhältnis zur Maschinenverordnung und zur Funkanlagenrichtlinie
Der CRA ersetzt keine Anforderung des Maschinenrechts. Ab dem 20.01.2027 verlangt die Maschinenverordnung in Anhang III Nr. 1.1.9 Schutz gegen Korrumpierung und in Nr. 1.2.1 Steuerungen, die, soweit den Umständen und Risiken angemessen, vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter, die zu einer Gefährdungssituation führen, standhalten. Nach Erwägungsgrund 53 des CRA kann die Erfüllung der CRA-Anforderungen das erleichtern; die Synergie muss der Hersteller aber nachweisen, und er sollte beide Konformitätsbewertungsverfahren befolgen. Die CRA-Konformität allein begründet für Nr. 1.1.9 und 1.2.1 keine Vermutungswirkung. Die Maschinenverordnung vermutet Konformität bei harmonisierten Normen mit Fundstelle im Amtsblatt (Art. 20 Abs. 1) und bei gemeinsamen Spezifikationen (Art. 20 Abs. 6), für diese beiden Anforderungen zusätzlich bei einer Zertifizierung oder Konformitätserklärung nach einem Schema des Rechtsakts zur Cybersicherheit (EU) 2019/881 mit Fundstelle im Amtsblatt (Art. 20 Abs. 9 MVO).
Ist eine Maschine mit Funkmodul als Funkanlage einzuordnen und erfüllt sie die Kriterien der Delegierten Verordnung (EU) 2022/30, etwa die Kommunikation über das Internet, gelten für ein Inverkehrbringen bis zum 10.12.2027 zusätzlich deren Cyber-Anforderungen; die Delegierte Verordnung wird mit Wirkung vom 11.12.2027 aufgehoben (Delegierte Verordnung (EU) 2026/339). Wie die drei Rechtsakte ineinandergreifen und warum die Cyber-Risikobewertung eine eigene Methode neben der EN ISO 12100 braucht, erklärt der Ratgeber Cybersicherheit von Maschinen.
Sanktionen und Behörden
- Verstöße gegen Anhang I oder die Pflichten aus Art. 13 und 14: bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes (Art. 64 Abs. 2 CRA).
- Verstöße unter anderem gegen die Pflichten zu Erklärung, CE-Kennzeichnung, technischer Dokumentation und Konformitätsbewertung: bis zu 10 Mio. EUR oder 2 % (Art. 64 Abs. 3 CRA).
- Falsche, unvollständige oder irreführende Angaben gegenüber Behörden und notifizierten Stellen: bis zu 5 Mio. EUR oder 1 % (Art. 64 Abs. 4 CRA).
Es gilt jeweils der höhere Betrag. Bei der Bemessung zählen unter anderem Art, Schwere und Dauer des Verstoßes sowie die Größe des Unternehmens (Art. 64 Abs. 5 CRA). Art. 64 gilt nach Art. 71 Abs. 2 CRA ab dem 11.12.2027; ob Verstöße gegen die seit dem 11.09.2026 geltenden Meldepflichten vorher geahndet werden können, hängt vom nationalen Recht ab.
In Deutschland soll das BSI Marktüberwachungsbehörde, notifizierende Behörde und Bußgeldbehörde werden (Gesetzentwurf, BT-Drucksache 21/6134 vom 26.05.2026). Die Verkündung des Gesetzes war mit Stand 15. September 2026 nicht auffindbar. Die Pflichten der Hersteller gelten davon unabhängig unmittelbar aus der Verordnung, und das CERT-Bund im BSI arbeitet seit dem 11.09.2026 als koordinierendes CSIRT. Für das Maschinenrecht bleiben die Marktüberwachungsbehörden der Länder zuständig; wie sich die Prüfung von CRA-Aspekten an Maschinen mit dem BSI aufteilt, ist offen.
Was noch offen ist (Stand 15. September 2026)
- Die Leitlinie der Kommission C(2026) 5252 vom 27.07.2026 ist inhaltlich gebilligt; eine formelle Annahme mit allen Sprachfassungen war nicht auffindbar. Sie ist rechtlich nicht verbindlich; die in diesem Ratgeber zitierten Auslegungen stammen aus dieser Fassung.
- Im Amtsblatt ist noch keine harmonisierte Norm zum CRA zitiert (Quellen mit Stand 11.09.2026).
- Eine Verkündung des deutschen Durchführungsgesetzes (Entwurf BT-Drucksache 21/6134) war nicht auffindbar.
- Noch nicht erlassen sind unter anderem das Format der Software-Stückliste (Art. 13 Abs. 24), Format und Verfahren der Meldungen (Art. 14 Abs. 10) und das vereinfachte Dokumentationsformular für Kleinst- und Kleinunternehmen (Art. 33 Abs. 5).
So deckt CE-Copilot das ab
CE-Copilot führt die CRA-Arbeit im selben Projekt wie die Risikobeurteilung, die Konformitätserklärung und die Betriebsanleitung. Die Rechenregeln für Einstufung, Stichtage und Verfahren sind fest hinterlegt, nicht von einer KI geschätzt.
- Normen-Finder und Risikobeurteilung (ab Starter): Als Pflicht zeigt der Normen-Finder den CRA nur, wenn die Maschinenbeschreibung eine Datenverbindung belegt, zusammen mit dem Hinweis auf die Meldepflicht. Im Risikobeurteilungs-Editor führt das Modul Cybersicherheit durch Anwendungsbereich, Kernfunktion und Einstufung nach Anhang III und IV, zeigt nach dem Datum des Inverkehrbringens, was heute gilt, und hält für Maschinen, die ab dem 11.12.2027 in Verkehr gebracht werden, das Verfahren nach Art. 32 fest.
- Projektseite Cybersicherheit (ab Professional): Schnittstellen- und Asset-Inventar, Bewertung der Cybersicherheitsrisiken, Anforderungsmatrix zu Anhang I mit Anwendbarkeit, Begründung, Umsetzung und Nachweis, Komponenten Dritter, Unterstützungszeitraum, Schwachstellenbehandlung mit Ablage der SBOM, Meldevorgänge nach Art. 14 mit Fristenanzeige und Vorlagen sowie die Nutzerinformationen nach Anhang II.
- Dokumente: CRA-Bericht als PDF und Word, Kapitel Cybersicherheit im Gesamtdossier, Abschnitt zur Cybersicherheit in der technischen Dokumentation, der CRA als mitgeltender Rechtsakt in der Konformitätserklärung (angekreuzt erst, wenn die Hauptpflichten für das Exemplar gelten) und ein Kapitel Cybersicherheit mit den Angaben nach Anhang II in der Betriebsanleitung (Zusatzmodul ab Professional, Einmalkauf je Projekt).
Schritt für Schritt beschreibt das der Ratgeber CRA-Software für Maschinenbauer. Wie das fertig aussieht, zeigt das Musterdossier (Kapitel 7, S. 126–140) und die Muster-Betriebsanleitung (Kapitel 13). Die Tarife stehen auf der Preisseite. Einstufung und Pflichtenstand im Risikobeurteilungs-Editor können Sie 14 Tage kostenlos testen; Projektseite und CRA-Bericht gehören zum Professional-Plan.
Die Software strukturiert und dokumentiert. Bewertung, technische Umsetzung und Freigabe bleiben beim Hersteller, und Meldungen nach Art. 14 gehen über die Meldeplattform der ENISA, nicht aus CE-Copilot.
FAQ
Häufige Fragen zum Cyber Resilience Act bei Maschinen
Gilt der Cyber Resilience Act auch für Maschinen?
Was müssen Maschinenhersteller seit dem 11. September 2026 tun?
Gilt die Meldepflicht auch für Maschinen, die schon verkauft sind?
Wird meine Maschine durch einen eingebauten Router oder Switch zum wichtigen Produkt?
Brauche ich für meine Maschine eine notifizierte Stelle nach dem CRA?
Wie lang muss der Unterstützungszeitraum für eine Maschine sein?
Kann ich die Cyber-Risikobewertung in meine Risikobeurteilung nach EN ISO 12100 einbauen?
Gibt es harmonisierte Normen zum Cyber Resilience Act?
Wer ist in Deutschland für den CRA zuständig?
Quellen
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), ABl. L, 2024/2847 vom 20.11.2024: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- Berichtigung der Verordnung (EU) 2024/2847, ABl. L, 2025/90555 vom 2.7.2025: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202590555
- Berichtigung der Verordnung (EU) 2024/2847, ABl. L, 2025/90828 vom 17.10.2025: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202590828
- Verordnung (EU) 2025/327 (Art. 104 ändert Art. 13 Abs. 4 CRA): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R0327
- Durchführungsverordnung (EU) 2025/2392 (technische Beschreibung der wichtigen und kritischen Produkte): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R2392
- Europäische Kommission: Leitlinie zur Durchführung des CRA, C(2026) 5252 vom 27.07.2026: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- Europäische Kommission: Stand der Normung zum CRA: https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- ENISA: Start der einheitlichen Meldeplattform, 11.09.2026: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- BSI: Cyber Resilience Act, Meldepflicht startet, 11.09.2026: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260911_CRA_Meldepflicht_Schwachstellen.html
- Gesetzentwurf zur Durchführung der Cyberresilienz-Verordnung, BT-Drucksache 21/6134 vom 26.05.2026: https://dserver.bundestag.de/btd/21/061/2106134.pdf
Fachinformation für Maschinenhersteller, keine Rechtsberatung. Fundstellen und Fristen geprüft gegen den Amtsblatt-Text mit Stand 15. September 2026.